Turvalisus Linuxis (1. praktikum)
<- eelmine peatükk
järgmine peatükk ->
Kasutajad ja nendega tekitatav turvalisuse kiht
Eelmises praktikumis rääkisime, et Ubuntu installeerimisel luuakse automaatselt root-kasutaja, kes omab kõiki õigusi failisüsteemis (kodukaust on /root) ning Sinu määratud nimega kasutaja kõrgendatud õigustega (kodukaust on /home/omakasutajanimi). Sinu kasutajal on õigus kasutada käsklust sudo, mille abil saab käivitada käsklusi, mis vajavad superkasutaja õigusi.
Superkasutaja on kõige suuremaid õigusi omav automaatselt tekitatud kasutaja igas Linuxi distributsioonis. See tähendab, et superkasutaja saab alates failipuu algusest igas kaustas teha kõike, mis ta soovib - andmeid muuta, kustutada või isegi kasutamiskõlbmatuks teha.
Ubuntus on vaikimisi seaded sellised, et installeerimisel luuakse küll superkasutaja, kuid seda ei aktiveerita. See tähendab, et root-kasutajal puudub parool ning temaga ei saa sisse logida.
Põhjus on seotud arvuti turvalisusega - kui see kasutaja oleks aktiveeritud, siis oleks üle Interneti tulevate rünnakute puhul vaja lahti murda ainult parool. Kasutajanime ei ole vaja lahti murda, kuna superkasutaja nimi on alati root.
Installeerimisel loodud isiklik kasutaja (vaata käskluse id omakasutajanimi tulemust) seatakse kohe alguses mitmesse gruppi.
Näiteks kuulub see kasutaja gruppi “sudo”. See annab antud kasutajale kasutada sudo käsklust.
Seega on antud kasutaja võrdlemisi turvaline administraator, kes peab mõjukamate käskluste sisestamiseks sisestama alati ka võtmesõna “sudo”, mis tuletab kasutajale meelde, et ta tegutseb tavakasutaja õigustest väljaspool.
Superkasutajaga tegutsedes kaob kergesti taju, kas hetkel tehtav toiming vajab suurendatud õigusi või mitte, sest kasutajal on õigus teha kõike. Vaata ka käskluse sudo manuaali (man sudo) ning uuri, mida saab teha võtmega “i”.
Kui loome näiteks käsklusega sudo adduser uuskasutajanimi uue kasutaja, siis see kasutaja kuulub ainult endanimelisse gruppi ja seega omab võrdlemisi madalaid õigusi arvutis tegutsemiseks.
Selle kasutajaga ei saa kasutada käsklust “sudo”, seega on ka võimatu uue tarkvara installeerimine või varasema tarkvara uuendamine. Muidugi on võimalik lisada uus kasutaja gruppi “sudo” ja seeläbi anda õigus sellenimelise käskluse kasutamiseks (seda ka eelmises praktikumis tegime).
Üks turvalisemaid variante isikliku arvuti puhul on omada kaht kasutajat.
Üks nendest on installeerimisel loodud suurendatud õigustega kasutaja ja teine hiljem loodud ilma sudo-õigusteta kasutaja igapäevaseks kasutamiseks.
Sellise lahendusega on kasutaja veelgi teadlikum olukordadest, kus ta kasutab kõrgendatud õigusi, sest peab selleks eraldi kasutajaga sisse logima (mis on tegelikult käskluse su - omakasutajanimi abil võrdlemisi lihtne).
Ühtlasi on tavakasutaja ühendatud internetiga, kust tulevate rünnakute korral jääksid sudo-õigustega kasutajad kaitstuks. Superkasutaja on kindlasti mõistlik jätta deaktiveerituks sellise lahenduse korral.
Järgnevate tegevuste valesti sooritamisel võime oma arvuti katki teha!
Selleks, et kõige hullemat vältida teeme oma arvutist koopia. Juhul kui midagi läheb valesti saad Sa kasutusele võtta oma arvuti koopia.
Kui virtuaalmasin on sisse lülitatud, siis lülita see kindlasti välja.
Ava VirtualBox ning tee parema hiireklahviga klõps oma masina peal.
Vali “Clone…”
Vali Next
Kontrolli, et valitud oleks “Full clone” ning vali “Clone”
Oota, kuni koopia tegemine on lõpule viidud.
Kuigi root-kasutaja kasutamine pole soovitatav, siis teeme ikkagi läbi superkasutaja aktiveerimise ja deaktiveerimise.
Logi sisse oma arvutisse.
Kasutajate paroole saab muuta käsuga sudo passwd omakasutajanimi. Sama käsu abil saame ka root-kasutajale parooli määrata ja seetõttu kasutaja aktiveerida.
1. Kirjuta käsklus: sudo passwd root
2. Määra parooliks “superuser”.
3. Kirjuta käsklus su -
ning sisesta root-kasutaja parool. Nüüd oled sisse logitud superkasutaja õigustes.
Peale sisselogimist näed, et asud superkasutajaga superkasutaja kodukaustas (sellele vihjab tilde ~ peale arvuti nime. See kodukaust asub aadressil /root. Katsetame nüüd mõnda tegevust, mida superkasutajaga teha saab. Selleks ava kõrvalaknas eraldi terminal, kus oled sisselogitud kasutajaga boss. Sinu isikliku kasutaja kodukaustas peaks asuma failiõiguste tunnis valminud kaust "firmaDokumendid", mille omanikuks on kasutaja boss ning grupiõigusi omab grupp firmasisene. Liigu mõlemas terminaliaknas oma kasutaja kodukausta (olles ühes terminalis sisselogitud superkasutajana ning teises bossina). Kontrolli kausta firmaDokumendid failiõigusi ning proovi mõlema kasutajaga sinna kausta sisse saada. Ilmselt nägid, et kuigi superkasutaja ei kuulu gruppi firmasisene, siis sai selle kasutajaga ikkagi kaustale ligi. See ongi superkasutaja peamine eripära. Lisaks saab superkasutaja kaudu sisse logida teiste kasutajate kontodega ilma nende parooli teadmata. Proovi näiteks superkasutaja õigustes käsklust su - tootaja. Seejärel logi kontolt tootaja välja käsklusega exit.
Nüüd deaktiveeri superkasutaja:
1. logi välja superkasutaja kontolt terminalis käsklusega exit,
2. sisesta käsklus sudo passwd -dl root
(uuri ka “man passwd” abil, mida antud võtmeväärtused tähistavad)